Valt uw rederij onder de Cyberbeveiligingswet?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Vallen uw rederij en uw kantoor eronder, dan moet uw bedrijf zich hebben geregistreerd bij het Nationaal Cyber Security Centrum (NCSC), passende beveiligingsmaatregelen nemen en ernstige incidenten melden. Valt uw rederij er niet onder, dan hoeft u niets te doen, en dat is voor veel kleine rederijen het geval.

Eerst de vraag: valt u eronder?

De wet kijkt naar twee dingen: de sector en de grootte van het bedrijf.

Sector. Vervoer is een van de sectoren in de wet. Daaronder staan bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht. In de wettekst staat daarbij een uitzondering: de afzonderlijke schepen die zo'n bedrijf exploiteert, vallen er zelf niet onder. De wet gaat dus over het bedrijf, niet over het schip als apart object. Of uw rederij precies binnen de omschrijving valt, toetst u met de hulpmiddelen van het NCSC (zie onderaan).

Grootte. Daarna telt de omvang. Volgens het NCSC gaat het om:

• middelgroot: 50 tot 249 medewerkers en een jaaromzet tussen € 10 miljoen en € 50 miljoen, of een balanstotaal tussen € 10 miljoen en € 43 miljoen;
• groot: 250 of meer medewerkers en een jaaromzet vanaf € 50 miljoen of een balanstotaal vanaf € 43 miljoen;
• ook met minder dan 50 medewerkers valt u eronder als zowel uw jaaromzet als uw balanstotaal hoger is dan € 10 miljoen.

Een kleine onderneming met minder dan 50 medewerkers en een omzet en balanstotaal onder de € 10 miljoen valt buiten de wet, tenzij het om een van de uitzonderingen gaat, zoals aanbieders van openbare communicatienetwerken. Die zijn voor een rederij niet aan de orde.

Dat betekent concreet: een schipper-eigenaar met één of twee schepen en een klein kantoor hoeft zich niet te registreren. Een rederij met een vloot, een eigen kantoor en tientallen mensen aan wal en aan boord moet de telling wel maken. Let erop dat het om medewerkers van het bedrijf gaat. Rekent u uw bemanning mee? Bekijk dat dan met uw accountant, zodat u de juiste aantallen gebruikt.

Wat vraagt de wet als u eronder valt?

De wet legt drie verplichtingen op.

1. Registreren

Organisaties die onder de wet vallen moeten sinds 15 augustus 2026 geregistreerd staan op mijn.ncsc.nl. U logt daar in met eHerkenning. U geeft onder meer de gegevens van uw organisatie door, de sector, een contactpersoon en uw netwerkgegevens: publieke IP-adressen, domeinnamen en AS-nummers. Dat zijn gegevens die uw IT-beheerder of uw ICT-partner kent. Het domeinnaam-deel is eenvoudig: dat is het adres achter uw e-mail en website.

2. Passende maatregelen nemen (de zorgplicht)

U brengt de risico's voor uw netwerk en informatiesystemen in kaart en neemt maatregelen die daar passend en evenredig bij zijn. Het NCSC noemt als voorbeelden een risicoanalyse, regels voor wie waar bij mag (toegangsbeheer) en afspraken voor als er een incident is.

Voor een rederij komt dat neer op vragen als:

• Wie heeft toegang tot de mailbox waar de bevrachting binnenkomt, en loggen zij in met een tweede stap?
• Wat gebeurt er met de account van een schipper die van boord gaat?
• Wie kan er bij de bestanden met ladinggegevens en facturen?
• Weet u wie u belt als het kantoornetwerk plat ligt, en hoe u dan toch kunt blijven bevrachten?

Met dit soort afspraken op orde bent u een stuk verder. Hoe dat voor Microsoft 365 op kantoor eruitziet, leest u op de pagina over het kantoor.

3. Ernstige incidenten melden

Veroorzaakt een incident een aanzienlijke verstoring van uw dienstverlening, dan meldt u dat zo snel mogelijk, uiterlijk binnen 24 uur, aan het CSIRT en de toezichthouder. Een voorbeeld: ransomware legt uw kantoorsysteem stil en u kunt dagenlang geen schepen meer bevrachten of factureren. Een enkele phishingmail die iemand niet openklikt, is geen melding.

Wat is nieuw voor de directie?

Bij de wet hoort ook een verantwoordelijkheid voor het bestuur. Volgens de rijksoverheid moet de leiding de beveiligingsmaatregelen goedkeuren en erop toezien, en hoort daar passende opleiding bij. In een rederij is dat dus een taak van de eigenaar of directie, niet iets dat u alleen aan de ICT'er overlaat.

Wat u nu kunt doen

1. Tel na of uw rederij op het aantal medewerkers, de omzet of het balanstotaal boven de grenzen uitkomt. Doe dat samen met uw accountant.
2. Gebruik de hulp van het NCSC (de beslisboom en de zelftoets van de overheid) om te bepalen of u als bedrijf voor vervoer over water onder de wet valt en of u geregistreerd moet staan.
3. Valt u eronder en bent u nog niet geregistreerd? Doe dat dan nu op mijn.ncsc.nl. Het NCSC noemt geen overgangstermijn na 15 augustus 2026.
4. Valt u er niet onder? Dan hoeft u niets te registreren. De maatregelen in de wet, zoals een tweede stap bij het inloggen en goede back-ups, zijn toch verstandig. Uw bevrachters en andere klanten kunnen er ook naar vragen.
5. Wilt u meer weten? Op onze pagina over de Cyberbeveiligingswet staat hoe u dit stap voor stap bekijkt.